Obligation de nomination d’un DPO pour les TPE/PME : quand, pourquoi et comment choisir entre DPO interne ou externalisé

Vous êtes une entreprise et vous vous interrogez sur le DPO. Vous vous demandez si vous devez obligatoirement en désigner un ou non ? Vous cherchez comment trouver le vôtre ? Vous hésitez entre externaliser ou internaliser la fonction de DPO ? Si vous vous posez l’une ou plusieurs de ces questions, cet article est fait pour vous.

Qu’est-ce que le DPO au sens du RGPD ?

Le DPO est le Délégué à la protection des données ("Data Protection Officer") désigné auprès de la CNIL pour votre entreprise, association ou établissement public. Le DPO est une nouvelle fonction, un nouveau métier créé par le règlement européen sur la protection des données : le RGPD. En phase initiale, il accompagne l’organisation dans la mise en conformité au RGPD. Il s’assure ensuite au quotidien que l’entreprise respecte les règles et obligations issues du RGPD. Il informe, conseille et forme les personnes chargées des traitements (les « responsables des traitements »). Il assure la bonne application du règlement au sein de l’organisation afin d’éviter toute sanction financière de la part de la CNIL.

Rôle et missions essentielles du DPO

Le Délégué à la Protection des Données devra a minima remplir les missions suivantes : Informer et conseiller la Direction ou le sous-traitant, sur leurs obligations RGPD. Veiller au respect du RGPD dans l'organisme. Coopérer avec l’autorité de contrôle, pour toute question ou contrôle. Répondre aux demandes d'exercice de droit. Apporter un support juridique au service I.T en cas de violation de données.

Le DPO joue un rôle clé dans la mise en conformité des entreprises avec le RGPD. Il assure une mission multiple, principalement en veillant à la bonne application des dispositions des articles 38 et 39 du règlement. Ainsi, son intervention est primordiale pour garantir le respect des droits des personnes en matière de traitement de données personnelles. Audit et surveillance : Il procède à des audits réguliers pour s'assurer de la conformité continue avec la réglementation en vigueur. Gestion des risques : Le DPO identifie et analyse les risques liés au traitement des données personnelles. En cas de violation ou de risque de non-conformité, il doit proposer des mesures correctives adaptées. Interlocuteur avec les autorités : Il est également le point de contact entre l’organisme et l’Autorité de Protection des Données (APD), tel que la CNIL en France.

Quand la désignation d’un DPO est-elle obligatoire ?

La désignation d’un Délégué à la Protection des Données est obligatoire dans certains cas spécifiques, selon l’article 37 du RGPD. Le traitement réalisé par une autorité publique constitue le premier cas d'obligation. Cette disposition concerne principalement les administrations et collectivités territoriales, mais peut également s'appliquer aux entreprises privées exerçant une mission de service public. Le deuxième cas concerne les organisations dont les activités de base impliquent un suivi régulier et systématique des personnes à grande échelle. Enfin, la désignation d'un DPO s'impose lorsque les activités principales de l'organisation impliquent un traitement à grande échelle de données sensibles ou relatives à des condamnations pénales.

Par « activités de base », il faut comprendre : les activités principales réalisées par le responsable de traitement ou le sous-traitant. C’est-à-dire des activités liées au cœur d’activité de l’entreprise. Chaque fois que le traitement de données fait partie intégrante de l'activité du responsable du traitement ou du sous-traitant, il est question d'une activité de base. « A grande échelle » est une notion un peu floue. Un traitement de données « à grande échelle » est un traitement qui concerne un grand nombre de personnes, beaucoup de données, des traitements opérés sur une longue durée et/ou sur une zone géographique très étendue. Il n'est ni possible, ni cohérent avec une approche basée sur les risques de déterminer un nombre précis pour chaque situation, que ce soit au niveau du volume de données traitées ou du nombre de personnes concernées.

Cas pratiques et précautions

Par exemple, une société dont l’activité principale consiste à surveiller des espaces publics par vidéo-surveillance, qui doit donc réaliser des traitements sur les données collectées, doit obligatoirement désigner un Data Protection Officer. Tous les organismes publics - et en particulier toutes les administrations - doivent obligatoirement désigner un DPO. Lorsque les traitements sont effectués par une « autorité publique » ou par un « organisme public » - à l’exception des « juridictions agissant dans l’exercice de leur fonction juridictionnelle ». Les tribunaux n’ont pas obligation de désigner un DPO. Les notions d' "autorité publique" ou d' "organisme public" ne sont pas définies dans le RGPD. Ces notions devront être interprétées à la lumière du droit belge. Les cours et tribunaux belges ne sont pas soumis à cette disposition lorsqu'ils traitent des données à caractère personnel dans le cadre de l'exercice de leurs missions judiciaires.

DPO interne ou externe : avantages et contraintes

Le DPO peut être un salarié de l’entreprise ou un prestataire externe. Le recours à un DPO externe permet aux organisations de garantir leur conformité RGPD sans supporter le coût d’un poste interne. Indépendant, il évite tout conflit d’intérêts, apporte une expertise immédiatement opérationnelle, s’adapte aux besoins réels et réduit les risques d’erreurs pouvant entraîner des sanctions. Le DPO externe est moins cher que le DPO interne. C'est une solution flexible, économique et particulièrement adaptée aux structures qui ne souhaitent pas recruter un Délégué à la Protection des Données à 50 000 euros annuel chargé.

Un salarié peut remplir ce rôle mais sous condition. Il sera communément appelé "DPO interne". Le salarié doit pouvoir : disposer du temps nécessaire à sa fonction de DPO, disposer des compétences attendues par la fonction de DPO, ne pas être en situation de conflit d'intérêt. L'absence de conflit d'intérêt est primordiale. Un salarié ne peut pas remplir ce rôle lorsque les fonctions prévoient ou supposent la détermination des moyens du traitement et/ou ses finalités. La CNIL prévoit une liste de fonctions incompatibles avec la désignation d'un DPO salarié : Président, Directeur Général, Secrétaire général, Directeur opérationnel, Directeur financier, Responsable marketing, Responsable des Ressources Humaines, Responsable du Service Informatique (RSI ou DSI).

Le DPO externe est tenu par un devoir d'expertise. En outre, si votre Délégué à la Protection des Données vous partage, en qualité d'Expert, une information qui est fausse et que vous ne pouviez pas connaître, le prestataire est Responsable. Le client est le décisionnaire final sur comment sont gérées les données chez lui, peu importe les recommandations du DPO. Le DPO externe est tenu par un contrat. Il est donc évident que ce dernier doit respecter ses engagements.

Formation, compétences et responsabilité

Pour votre sécurité juridique, optez pour un DPO disposant d'un Master 2 en Droit du numérique ou Droit des nouvelles technologies. Pour mémo, le travail de conformité est d'environ 95% de travaux juridiques et 5% d'informatique. Le profil d'avocat est aussi intéressant si ce dernier a suivi un cursus spécialisé en protection des données personnelles ou en droit du numérique durant ses études de droit. La certification a été crée pour les non Juristes principalement. Attention néanmoins, car certains organismes (autres que la CNIL) ont développé leurs propres référentiels de "certification" ; ces certifications ne seront donc pas valides au regard du référentiel de la CNIL.

Solutions adaptées aux TPE/PME : mutualisation et approche progressive

Pour les PME ne disposant pas des ressources nécessaires à une mise en conformité exhaustive immédiate, une approche progressive et structurée constitue la voie la plus raisonnable. L'audit initial constitue le point de départ incontournable de cette démarche. Un état des lieux objectif des pratiques existantes, de la documentation disponible et des risques spécifiques à l'activité permet d'établir une feuille de route réaliste, priorisant les actions selon leur caractère critique et leur complexité de mise en œuvre. La formalisation des traitements essentiels dans un registre constitue généralement la première action concrète.

Face aux contraintes budgétaires inhérentes aux structures de taille modeste, plusieurs modalités de désignation d'un DPO peuvent être envisagées. L'approche mutualisée, en particulier, offre un équilibre intéressant entre expertise de haut niveau et coût maîtrisé. Le DPO externe partagé constitue une première option particulièrement adaptée aux PME. La mutualisation sectorielle représente une variante particulièrement pertinente. Le recours à une prestation de services DPO modulable offre également une flexibilité précieuse pour les PME. La formation d'un référent interne complété par un support externe spécialisé représente une autre configuration efficace.

Retour sur investissement et bénéfices pour la PME

Au-delà de l'aspect réglementaire, la désignation d'un DPO peut générer des bénéfices tangibles pour une PME, constituant un véritable investissement plutôt qu'une simple charge de conformité. L'avantage concurrentiel constitue un premier bénéfice significatif. L'optimisation des processus représente une retombée souvent sous-estimée. La prévention des incidents et la réduction des coûts associés constituent un bénéfice majeur. Le développement serein de l'innovation mérite également d'être souligné. L'attrait pour les investisseurs constitue un atout particulièrement précieux pour les PME en croissance.

Checklist pratique et démarches administratives

Pour tout entité juridique établie en France, la formalité pour nommer un DPO est gratuite et doit être faite en ligne auprès de la CNIL via un formulaire dédié. Concernant les formalités auprès de la Commission nationale de l'informatique et des libertés, plusieurs informations devront être renseignées : sur l’organisme : le numéro SIREN si vous disposez d’un tel numéro, l'adresse postale, le secteur d’activité, les coordonnées du responsable légal. Sur le Délégué à la Protection des Données : l’identité précise de la personne physique désignée, son nom, prénom, numéro de téléphone, adresse postale et courriel.

Si le siège social de votre entreprise est établi dans un autre pays membre de l’UE, vous devrez vous adresser à l’autorité de contrôle de ce pays membre selon les formalités qu’elle aura déterminée en la matière. La désignation volontaire d’un DPO par les responsable de traitement ou le sous-traitants est fortement encouragée par les autorités de contrôle. L’absence d’obligation légale n’empêche pas qu’un organisme emploie du personnel ou fasse appel à un consultant externe pour exercer des missions relatives à la protection des données sur base volontaire et ce, sans souhaiter se conformer strictement à l‘ensemble des exigences du RGPD.

Comprendre en 45 minutes - Le contrôle CNIL

Que faire si vous n’êtes pas sûr d’être concerné ?

Il est recommandé d’effectuer une analyse pour déterminer si vous devez nommer un DPO. Faites un audit rapide de vos traitements de données : volume, fréquence, sensibilité, finalité. Cela vous permettra de déterminer si vous rentrez dans les cas où un DPO est obligatoire. Si vous décidez de nommer un DPO ou un référent RGPD, vous pouvez : nommer un collaborateur en interne, en veillant à ce qu’il puisse remplir cette fonction et ceci sans conflit d’intérêt avec ses autres activités ; rechercher un professionnel compétent en matière de protection des données auprès de cabinets de conseil spécialisés, d’avocats ou d’experts en protection des données.

Rappels pratiques

Le DPO doit pouvoir exercer sa mission en toute autonomie, sans subir de pression hiérarchique ni d’influence politique ou commerciale. Le DPO est tenu à un devoir de confidentialité. Il doit être joignable facilement et tenir une documentation à jour. L'absence de désignation lorsque celle-ci est requise est une infraction au RGPD et peut avoir des conséquences financières, réputationnelles et juridiques importantes pour l'entreprise.

Premiers pas recommandés pour une TPE/PME

1ère étape dans votre conformité, le diagnostic consiste à évaluer votre situation. L’activité principale sera de recenser tous vos traitements qui mettent en jeu des données à caractère personnel (DCP). Ces éléments seront nécessaires à la constitution du Registre des activités de traitement (Art. 30 RGPD), notamment. La deuxième activité sera d’évaluer votre situation au regard du référentiel légal et de la sécurité (des systèmes d’information). A l’issue de cet état des lieux, vous disposez des points de non-conformité et d’une vision des actions à engager.

2ème étape dans votre conformité : la mise en œuvre. L’état des lieux aura fourni une image de votre situation. Pour les PME, l'approche pragmatique peut inclure un DPO externalisé partagé, un référent interne formé et l'utilisation d'outils et modèles (ex. modèles CNIL) pour documenter et suivre la conformité.

Action	Objectif
Audit initial	Évaluer risques et priorités
Registre des traitements	Documenter flux et finalités
Mise en conformité processus critiques	Réduire risques majeurs
Sensibilisation des équipes	Réduire erreurs humaines
Recours à DPO externe/modulable	Bénéficier d'expertise économique

Si vous souhaitez avoir recours à un avocat en DPO, contactez-moi ! Besoin d’y voir plus clair ? D’un diagnostic ? Ou d’un DPO externalisé qui comprend vraiment vos enjeux ?

balises: #Pme